Cybersécurité des collectivités : la CNIL prononce dix sanctions, MFA, prestataires et AIPD en cause
La CNIL a annoncé le 9 novembre 2026 avoir prononcé, en novembre, dix sanctions simplifiées à l'encontre de collectivités territoriales et d'un établissement public, pour des manquements relatifs à la cybersécurité. Les amendes vont de 3 000 à 20 000 euros. Le montant est modeste, la liste des manquements ne l'est pas : authentification, accès des prestataires, journalisation, cloisonnement, systèmes obsolètes, mots de passe et analyses d'impact absentes. C'est une grille de contrôle que tout DPO peut reprendre telle quelle.
Ce que la CNIL a contrôlé
La CNIL avait fait de la cybersécurité des collectivités territoriales l'une de ses thématiques annuelles de contrôle en 2025. Elle justifie ce choix par la nature des données traitées par les communes, départements et régions : état civil, versement de prestations sociales, données financières, données concernant des mineurs. Plusieurs collectivités, acteurs publics et leurs prestataires ont été contrôlés sur leurs mesures de sécurité techniques, organisationnelles et physiques.
Les contrôles ont abouti à dix sanctions financières prononcées dans le cadre de la procédure simplifiée, dont le plafond est de 20 000 euros. Les organismes sanctionnés ne sont pas nommés dans le communiqué.
Les manquements à l'article 32 du RGPD
La CNIL détaille les failles relevées au titre de l'article 32 du RGPD :
- une authentification à distance trop faible, notamment en télétravail, avec une absence d'authentification multifacteur pour les administrateurs ;
- des prestataires extérieurs, par exemple des éditeurs de logiciels, disposant d'un accès permanent au réseau sans autorisation au cas par cas, ou via des comptes partagés entre plusieurs salariés ;
- une détection des comportements anormaux inefficace : journalisation incomplète, ou journaux non exploités en temps réel ou à court terme ;
- un cloisonnement du réseau insuffisant, qui pouvait étendre une violation à plusieurs segments ;
- des serveurs sous des systèmes d'exploitation qui n'étaient plus maintenus par leur éditeur ;
- des mots de passe insuffisamment robustes, transmis en clair aux usagers ou stockés sans garantie de confidentialité.
La CNIL relève que certaines des collectivités contrôlées ont subi une ou plusieurs violations de données qui « auraient pu être évitées si les mesures adéquates avaient été prises ». Plusieurs décisions retiennent aussi l'absence d'homologation de sécurité des systèmes d'information avant leur mise en service, alors que le référentiel général de sécurité (RGS) l'exige des autorités administratives.
L'analyse d'impact, deuxième grief
Plusieurs collectivités ont été sanctionnées pour ne pas avoir réalisé d'analyse d'impact au titre de l'article 35 du RGPD et de l'article 90 de la loi Informatique et Libertés. La CNIL cite deux traitements : les téléservices qui permettent aux parents de gérer les activités scolaires et extrascolaires de leurs enfants, qui réunissent des personnes vulnérables et des coordonnées bancaires, et les systèmes de vidéoprotection sur la voie publique, qui constituent une surveillance systématique à grande échelle d'une zone accessible au public.
Pour fixer les montants, la CNIL indique avoir tenu compte du nombre et de la gravité des manquements, des catégories de données traitées, du budget de chaque collectivité, du nombre de personnes concernées et des mesures prises pour se mettre en conformité.
Ce que ça change pour les organisations
La CNIL annonce consacrer en 2026 la moitié de ses contrôles et actions répressives à la sécurité des données, et précise que d'autres procédures visant des collectivités sont en cours. Le secteur public local est le premier concerné, mais la grille vaut pour toute organisation. Ce qu'un DPO peut vérifier dès cette semaine, avec la DSI :
- les comptes à privilèges et les accès distants sont-ils tous protégés par une authentification multifacteur ?
- chaque prestataire qui accède au réseau a-t-il un compte nominatif, ouvert au besoin et tracé, et ces accès sont-ils prévus dans le contrat de sous-traitance ?
- les journaux sont-ils non seulement collectés, mais relus, avec une alerte sur les comportements anormaux ?
- l'inventaire des serveurs fait-il apparaître des systèmes sans correctifs de l'éditeur ?
- la liste des traitements soumis à analyse d'impact est-elle à jour, en particulier pour les téléservices qui touchent des mineurs et pour la vidéoprotection ?
Pour les collectivités, l'échéance suivante est déjà annoncée : la CNIL inscrit cette action dans la préparation de la directive NIS 2, en cours de transposition, qui leur impose de nouvelles exigences de sécurité. Les points communs aux deux textes sont détaillés dans notre guide NIS 2 et RGPD, et les obligations propres au secteur public dans RGPD et collectivité territoriale.
Ce que Leto en pense
Ces sanctions ne reprochent rien d'exotique : chaque manquement correspond à une mesure documentée depuis des années. Ce qui manque le plus souvent, c'est le lien entre le registre et la sécurité réelle : savoir quel traitement repose sur quel système, quel prestataire y accède, et lequel exige une analyse d'impact. Un registre tenu au niveau du système d'information, avec ses sous-traitants et ses AIPD rattachées, est ce qui permet de répondre à un contrôle sur pièces. Pour voir comment Leto organise ce suivi au quotidien, demandez une démo.
Sources
